ESX
SECURITY RESEARCH · 10. 22. Oktober 2026 · Aktualisiert 10. 24. Oktober 2026

Bosch Firebase Admin: Realtime Database + Storage + Messaging exponiert

Ein Firebase Admin SDK Private Key — das mächtigste Credential in der Firebase-Hierarchie — liegt im Klartext in einer öffentlichen Android-App. Damit: voller Admin-Zugriff auf Realtime Database, Cloud Storage, Cloud Messaging. Keine Authentifizierung nötig. Kein Rate-Limiting. Kein Audit-Log.

Admin
Zugriffslevel
3
Firebase Services
0
Key-Rotation in 90d
CVSS 9.1
Schweregrad

Was ist ein Firebase Admin SDK Key?

Der Firebase Admin SDK Private Key ist das höchste Credential in der Firebase-Hierarchie. Im Gegensatz zu normalen API-Keys umgeht er alle Sicherheitsregeln:

  • Realtime Database — Lesen und Schreiben aller Daten, unabhängig von Security Rules
  • Cloud Storage — Zugriff auf alle Dateien (Firmware, Konfigurationen, Nutzerbilder)
  • Cloud Messaging — Push-Notifications an alle registrierten Geräte senden
  • Authentication — Nutzer erstellen, löschen, Tokens generieren

Firebase Admin SDK Keys sind für Server-zu-Server-Kommunikation gedacht und dürfen niemals in Client-Apps eingebettet werden — sie sind das Root-Passwort der Firebase-Infrastruktur.

Angriffsszenarien

SzenarioImpactAufwand
Geräte-Takeover via Database-ManipulationPhysischer Schaden möglichNiedrig
Massen-Push-NotificationSocial Engineering, PhishingNiedrig
Firmware-Manipulation via StoragePersistenter BackdoorMittel
Nutzerdaten-ExfiltrationDSGVO-VerstoßNiedrig

Keine Rotation nach 90 Tagen

Der Befund wurde im Juli 2026 an Bosch PSIRT gemeldet. Nach 90 Tagen Reassessment-Zeitraum war der identische Key weiterhin in der aktuellen App-Version vorhanden.

Key-Rotation — das einfachste und effektivste Mittel gegen exponierte Credentials — wurde nicht durchgeführt.

Vollständiger Report und Security Advisory:

BuriLabs Research Report → Skylasec Advisory →

Weitere Berichte